如何在保留S3存储桶的前提下删除并重新部署CloudFormation堆栈？

核心思路 #

通过对齐现有S3桶的属性与SAM模板定义，赋予部署角色足够权限，让CloudFormation/SAM在部署时自动关联已存在的桶，无需修改模板或迁移数据。

分步实现（适配CI/CD自动化） #

1. 确认桶保留策略生效
   确保原堆栈中S3桶资源已配置DeletionPolicy: Retain，删除堆栈后桶会被保留。

2. 对齐桶属性与模板定义
   在重新部署前，用AWS CLI同步现有桶的所有属性，确保与SAM模板中定义的完全一致（否则CloudFormation会因属性不匹配报错）：

   • 版本控制：

     aws s3api put-bucket-versioning --bucket YOUR_BUCKET_NAME --versioning-configuration Status=Enabled # 或Disabled，匹配模板设置
     

   • 服务器端加密：

     aws s3api put-bucket-encryption --bucket YOUR_BUCKET_NAME --server-side-encryption-configuration '{
       "Rules": [{"ApplyServerSideEncryptionByDefault": {"SSEAlgorithm": "AES256"}}]
     }' # 替换为模板中的加密配置
     

   • CORS规则：

     aws s3api put-bucket-cors --bucket YOUR_BUCKET_NAME --cors-configuration '{
       "CORSRules": [{"AllowedHeaders": ["*"], "AllowedMethods": ["GET"], "AllowedOrigins": ["*"]}]
     }' # 替换为模板中的CORS配置
     

   • 生命周期规则：

     aws s3api put-bucket-lifecycle-configuration --bucket YOUR_BUCKET_NAME --lifecycle-configuration '{
       "Rules": [{"ID": "ExpireOldObjects", "Prefix": "", "Status": "Enabled", "Expiration": {"Days": 30}}]
     }' # 替换为模板中的生命周期配置
     

3. 赋予部署角色桶控制权
   确保执行SAM部署的CI/CD角色拥有桶的完全操作权限，避免CloudFormation因权限不足无法关联桶：

   aws s3api put-bucket-policy --bucket YOUR_BUCKET_NAME --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {"AWS": "arn:aws:iam::YOUR_ACCOUNT_ID:role/YOUR_CICD_DEPLOY_ROLE"},
         "Action": "s3:*",
         "Resource": ["arn:aws:s3:::YOUR_BUCKET_NAME", "arn:aws:s3:::YOUR_BUCKET_NAME/*"]
       }
     ]
   }'
   

4. 执行SAM部署
   使用以下命令部署，关键参数确保CloudFormation接受已存在的桶并关联到新堆栈：

   sam deploy \
     --stack-name YOUR_STACK_NAME \
     --template-file template.yaml \
     --parameter-overrides BucketName=YOUR_BUCKET_NAME \
     --capabilities CAPABILITY_IAM CAPABILITY_NAMED_IAM \
     --no-fail-on-empty-changeset \
     --disable-rollback
   

   • --no-fail-on-empty-changeset：当CloudFormation检测到资源已存在且属性匹配时，不会因无变更而报错
   • --disable-rollback：避免部署过程中因意外问题导致回滚，保护已保留的桶

关键注意事项 #

• 必须确保桶的所有属性与模板定义完全一致，包括存储类、日志配置等，任何不匹配都会导致部署失败
• 若模板后续修改了桶的属性，需先同步现有桶的属性再执行部署
• 此方案完全适配CI/CD流水线，所有步骤可封装为Shell脚本或流水线任务自动执行

内容的提问来源于stack exchange，提问作者DavGin